一、HTTP代理的基础转发逻辑
普通HTTP代理工作在应用层，可完整解析HTTP报文。客户端配置代理后，访问HTTP站点的流程为：
- 浏览器不直接连接目标服务器，而是与代理服务器建立TCP连接；
- 客户端发送包含完整绝对URL的HTTP请求，格式如
GET [http://example.com/page](http://example.com/page) HTTP/1.1； - 代理服务器解析请求，提取目标地址，以自身身份向目标服务器发起标准HTTP请求；
- 目标服务器返回响应，代理服务器原样转发给客户端。
此时代理可看到完整的请求与响应内容，也可进行修改、缓存、过滤等操作。
二、HTTPS场景的技术矛盾
HTTPS在HTTP层下增加了TLS加密层，所有应用层数据都被加密传输。如果沿用普通HTTP代理的转发方式，会出现两个核心问题：
- 代理无法解析地址：TLS握手是二进制加密协议，代理无法从中解析目标主机与端口，无法确定转发目标；
- 违背端到端安全：TLS的设计目标是端到端加密，中间节点不应解密内容，否则破坏安全模型。
因此需要一种全新机制，让代理在不解密TLS流量的前提下，建立一条透明的传输通道，即CONNECT方法。
三、CONNECT隧道工作机制
3.1 基本定义
CONNECT是HTTP协议中的标准方法（RFC 7231定义），专门用于请求代理建立一条到目标服务器的TCP隧道。隧道建立后，代理仅做透明字节转发，不解析、不修改内部数据。
3.2 完整交互流程
- 客户端发起CONNECT请求：客户端向代理发送
CONNECT 目标域名:443 HTTP/1.1，指定目标地址与端口，可携带Proxy-Authorization代理认证头。 - 代理建立上游连接：代理服务器解析请求，与目标服务器的指定端口建立TCP连接。
- 代理返回成功响应：连接成功后，代理向客户端返回
HTTP/1.1 200 Connection Established。 - 隧道透明传输：隧道建立后，客户端与目标服务器直接进行TLS握手、加密数据传输，所有数据经隧道原样转发。代理仅作为字节通道，无法解密应用内容。
四、核心问题澄清
4.1 代理能否查看HTTPS内容？
不能。隧道内的HTTPS流量是端到端加密的，代理只能看到加密后的二进制数据，无法解密。仅能从CONNECT请求中获取目标域名与端口，无法知道具体访问路径与参数。
4.2 为什么部分代理不支持CONNECT？
CONNECT允许代理连接任意目标地址与端口，存在安全风险。部分代理会限制CONNECT仅可访问443等常用端口，或要求严格认证。若访问HTTPS站点返回405 Method Not Allowed，说明代理不支持CONNECT方法。
4.3 CONNECT只能用于HTTPS吗？
理论上可建立到任意端口的TCP隧道，如邮件、SSH服务等。但多数代理出于安全考虑，仅开放443端口用于HTTPS。
4.4 与SOCKS5隧道的区别
CONNECT是HTTP协议的一部分，仅用于HTTP代理；SOCKS5是独立的会话层协议，本身为通用隧道设计，同时支持TCP/UDP。两者都能透明转发加密流量，但握手协议与实现层级不同。
五、总结
CONNECT隧道是HTTP代理承载HTTPS流量的核心机制。它通过建立透明TCP管道，在不干预加密的前提下，实现HTTPS流量的代理转发。理解这一原理，就能清晰排查代理配置问题，准确把握代理的权限边界。
